Playbook 1 — Classer votre risque
Les quatre niveaux de l'EU AI Act, ramenés à ce qu'une PME déploie réellement
L’AI Act range chaque système d’IA dans l’un de quatre niveaux. Celui où vous tombez décide presque de tout le reste : la quantité de documentation, qui l’évalue, et si le système peut être utilisé tout court. Le niveau, c’est tout l’enjeu, et pour la plupart des PME, il est plus bas que ce que suggèrent les gros titres.
Deux axes déterminent le niveau. Le premier est votre rôle. Un fournisseur construit ou met un système d’IA sur le marché ; un déployeur utilise celui d’un autre. La plupart des PME sont déployeurs — une fonction IA intégrée à un CRM, un chatbot, un outil de rédaction — et les obligations du déployeur sont plus légères que celles du fournisseur. Le second axe est le niveau de risque du système lui-même : inacceptable, élevé, limité ou minimal.
| Niveau | Ce que cela couvre | Exemple en PME |
|---|---|---|
| Inacceptable | Pratiques purement interdites — manipulation, notation sociale, collecte biométrique non ciblée | Manipulation comportementale dissimulée de clients |
| Élevé | Systèmes touchant à la santé, à la sécurité, aux droits ou à l’accès à l’essentiel | Recrutement et présélection de CV, notation de crédit, identification biométrique |
| Limité | Un risque, surtout pour la transparence | Un chatbot d’assistance, des textes marketing générés par IA |
| Minimal | Aucun effet notable sur les personnes | Filtre antispam, recherche interne, un outil qui résume des notes |
La prise de conscience utile, c’est de voir où se situent la plupart des déploiements en PME. Un CRM avec un assistant IA, un chatbot qui répond aux FAQ, un outil qui rédige du contenu — c’est du risque limité. La grosse mécanique pour laquelle l’Act est connu — documentation technique, évaluation de conformité, enregistrement dans une base de données de l’UE — s’attache aux systèmes à risque élevé et aux fournisseurs, pas à une entreprise qui utilise un outil standard pour un travail courant.
Les niveaux ici recoupent ceux de la série de playbooks gouvernance, et c’est normal. Le playbook 1 de cette série demande combien de gouvernance un usage interne exige ; celui-ci demande ce que la réglementation y attache. Le même usage peut être léger sur les deux, ou être celui qui exige tout le poids.
Une réserve à garder en tête. Le paquet Digital Omnibus adopté en mai 2026 a changé à la fois le calendrier et la charge pour les petites entreprises, avec une nouvelle catégorie de taille qui allège le traitement de certains usages à risque élevé. Donc le niveau où vous tombez et les obligations que vous portez ne sont pas figés — ils ont déjà bougé une fois et peuvent encore bouger.
Un premier passage :
- Listez chaque système d’IA que vous utilisez ou fournissez.
- Marquez chacun comme fournisseur ou déployeur.
- Attribuez un niveau approximatif : inacceptable, élevé, limité, minimal.
- Marquez tout ce qui touche au recrutement, au crédit, à la santé ou à la sécurité comme à risque élevé jusqu’à preuve du contraire.
- Signalez ceux à risque élevé pour un examen plus attentif avant décembre 2027.
Ceci est une information générale, pas un avis juridique. Si un élément de votre liste tombe dans le niveau à risque élevé, confirmez la position avec un conseil avant de vous y fier.
Suite : le playbook 2 expose ce qui est déjà opposable et ce qui reste à venir.